【zeroday】WindowsOSのipv6にICMPv6 Router AnnouncementパケットFlood攻撃に付いて(CVE-2010-4670, CVE-2010-4671, CVE-2010-4669)

※綺麗なフォーマットを用意する時間が無くて申し訳御座いませんが、そろそろ節電しなきゃ行け無いので、後で綺麗にします※

-------------------
1. 影響情報
-------------------

本件のゼロデイセキュリティ問題について下記の環境に影響があります↓
OSの環境：
Windows 2008、Windows 7とWindows Vista標準設定
Windows 2003、Windows 2000とWindows XP もしIPv6設定が有効になった場合
FreeBSD＋IPv6インターフェースが有効になった場合

その他の影響されたOS/システム：
全てIPv6に対応しているNetscreenアプライアンス、ipv6の設定を有効になった場合

LANの環境：
IPv4のLAN

-------------------
2. 問題の説明↓
-------------------

LAN側にあるマシンに、ICMPv6 Router Announcementパケット（又はランダム
ルーターアドバータイスメント）を沢山送ると、flooding状況迄のレベルで送りますと、影響されたLAN側にあるipv6有効されたマシンにはCPU負荷が上がってしまい、続けるとDoS（Denial of Service）状態になってしまいます。
CPUの負荷が上がった原因はネットワーク情報をアップデート動きが行って、リクエアストが来るほど切替している状況となります。
基本的に「ICMPv6 Echo」のリクエストをターゲットホストのmulticast MACアドレスに送ると、本件の再現が出来ます。「ICMPv6 Echo」のリクエストが出せるシステムなら再現で使えます、thc-ipv6パッケージにあるflood_router6コマンドで再現が出来ます。

本件の問題は実はルーター製品の問題で登録されたがWindowsOSのipv6にも影響が出ますともう一度話題が出てます。
本件のセキュリティ問題についてMicrosoft社のレスポンスがありません、Juniper社のレスポンスはIETFからの直す依頼が無いと動かないって聞いています。

影響された環境に当たって本件の問題は現状ゼロデイ状況となります。

-------------------
リファレンスは↓
-------------------

CVE-2010-4670, CVE-2010-4671, CVE-2010-4669
http://www.securityvibes.com/community/en/blog/2011/04/14/ipv6-tackling-the-rogue-ras
http://seclists.org/fulldisclosure/2011/Apr/254
http://cyberarms.wordpress.com/2011/04/19/windows-7-networks-vulnerable-to-ra-dos-attack
http://www.mh-sec.dhttp://www.blogger.com/img/blank.gife/downloads/mh-RA_flooding_CVE-2010-multiple.txt

---
ゼロデイ・ジャパン
http://0day.jp
アドリアン・ヘンドリック
sponsored by: 株式会社ケイエルジェイテック
Tweet